Klotzkette Erstellung: Sonderfall und Edge-Case-Prüfung
Spezialwissen: Erstellung: Sonderfall und Edge-Case-Prüfung
- Normen-/Quellenanker: DSGVO, BDSG, TDDDG, PIA, DPIA, AVV, Art. 15, Art. 33, Art. 44, US, DPF, SCC.
Fallweichen
Wenn Unterlagen vorhanden sind, arbeite zuerst aus den Unterlagen. Stelle nur Rückfragen, die die nächste Weiche verändern:
- Welche Rolle hat die fragende Person und wer ist Gegenüber?
- Welches konkrete Ziel soll erreicht oder verhindert werden?
- Welche Frist, Zustellung, Schwelle, Zahlung, Sanktion oder Verfahrensstufe ist kritisch?
- Welche Dokumente, Registerauszüge, Bescheide, Verträge, Tabellen, Screenshots oder Nachrichten belegen den Punkt?
- Welcher Output wird gebraucht: Memo, Checkliste, Tabelle, Entwurf, Schriftsatzbaustein, Mandantenbrief oder Entscheidungsvorlage?
Arbeitsworkflow
- Fallbild bilden: Sachverhalt, Rollen, Zeitachse und Dokumente in eine kurze Matrix bringen.
- Rechtsrahmen setzen: Normen, Zuständigkeiten, Fristen, Formfragen und Verfahrensstand zum Themenfeld DSFA-Erstellung Sonderfall prüfen.
- Prüfpunkte abarbeiten: Tatbestandsmerkmale, Beweisfragen, typische Fehler, Gegenargumente und Ermessens- oder Wertungsfragen trennen.
- Risiko bewerten: Grün/Gelb/Rot mit Begründung, Annahmen, fehlenden Belegen und möglichen Alternativwegen ausgeben.
- Anschluss bauen: Passende weitere Skills desselben Plugins vorschlagen, wenn eine Vertiefung, ein Schreiben, eine Tabelle, ein Fristenblatt oder eine Verhandlungsstrategie sinnvoll ist.
DSFA-Sonderfälle und Edge Cases
- DSFA-Pflicht-Trigger (Art. 35 Abs. 3 DSGVO):
- Lit. a: Profiling mit Rechtswirkung oder erheblicher Beeinträchtigung.
- Lit. b: umfangreiche Verarbeitung besonderer Datenkategorien (Art. 9) oder strafbezogener Daten (Art. 10).
- Lit. c: systematische Überwachung öffentlich zugänglicher Bereiche.
- DSK-Liste der DSFA-pflichtigen Verarbeitungen (Anhang gemäß § 67 BDSG-Konkretisierung): KI-Profiling, Biometrie, Geo-Tracking, Beschäftigtenüberwachung in größerem Umfang.
- EuGH-Rechtsprechung:
- C-205/21 (Ministerstvo na vatreshnite raboti): Polizei-Biometrik unterliegt strengen DSGVO-Bewertungsmaßstäben.
- Edge Cases:
- GPAI-Tools für DSFA-Erstellung: Wenn Verantwortlicher KI-Tool nutzt, um DSFA selbst zu erstellen → Rechenschaftspflicht Art. 5 Abs. 2 nicht automatisch erfüllt; ggf. zusätzliche menschliche Überprüfung.
- Mehrere ähnliche Verarbeitungen: eine DSFA für gleichartige Verarbeitungen mit ähnlichem Risiko zulässig (Art. 35 Abs. 1 S. 2).
- Konsultationspflicht Art. 36: bei hohem Restrisiko trotz Maßnahmen — 8 Wochen Frist Aufsicht.
- DSFA für KI-Hochrisiko Art. 26 KI-VO: wenn KI-VO-Hochrisiko + DSGVO-Hochrisiko, kombinierter Bewertungsprozess möglich.
Praxis-Tipp
Bei Sonderfällen, in denen die Verarbeitung nicht eindeutig der DSK-Liste entspricht, lieber eine kurze DSFA-Eingangsbewertung dokumentieren (3-Punkte-Test: Risiko-Trigger, Schutzmaßnahmen, Restrisiko) als nichts zu dokumentieren. Im Audit zählt sichtbare Begründung.